PDF de santé : dossiers cliniques et vie privée des patients

Un patient envoie par e-mail à une clinique le PDF scanné d’un ancien compte rendu de sortie. La secrétaire doit le fusionner avec deux autres comptes rendus avant que le médecin ne les consulte. Elle ouvre donc le premier outil PDF gratuit qui apparaît, y glisse trois fichiers remplis de diagnostics, de listes de médicaments et d’un numéro de sécurité sociale, puis clique sur fusionner.

Rien ne semble anormal. Le fichier fusionné se télécharge, le médecin le lit, la journée continue. Mais ces trois documents viennent de quitter la clinique pour atterrir sur le serveur d’un inconnu, et ce n’étaient pas des documents ordinaires.

Ceci n’est ni un avis juridique ni un avis médical. Je ne suis pas votre délégué à la protection des données et chaque clinique a ses propres règles à suivre. Mais les données de santé occupent une catégorie distincte et plus stricte au sein du RGPD, et cela change la manière dont vous devriez traiter chaque PDF qui en contient.

Pourquoi les données de santé sont traitées différemment

La plupart des données personnelles sont déjà protégées par le RGPD. Les données de santé bénéficient d’une couche supplémentaire. Le règlement les qualifie de catégorie particulière, aux côtés de choses comme les convictions religieuses, l’orientation sexuelle et les données biométriques. La règle de base pour les données de catégorie particulière est que leur traitement est interdit, sauf si vous remplissez l’une des quelques conditions précises, comme le consentement explicite du patient ou la prise en charge par un professionnel de santé.

Ce mot « traitement » est large. Il couvre le fait de lire le fichier, de le stocker, de le modifier et de le partager. Fusionner deux comptes rendus compte. Diviser un dossier pour en envoyer une page compte. Compresser un scan pour l’envoyer par e-mail compte. Donc, dès qu’un PDF de santé est en jeu, vous manipulez la catégorie de données la plus sensible que reconnaisse la loi, et le seuil pour le faire avec légèreté est bien plus haut.

Un dossier clinique tend aussi à contenir davantage que le diagnostic. Il y a généralement un nom, une date de naissance, une adresse, un identifiant patient, parfois un numéro d’assurance. Chacun de ces éléments est identifiant à lui seul. Associés à une affection médicale, ils dressent le portrait complet d’une personne à l’un de ses moments les plus intimes.

Ce qu’un site de téléversement fait réellement du fichier

Quand vous envoyez ce PDF à un outil en ligne, le fichier échappe à votre contrôle. Il voyage vers un serveur que vous ne gérez pas, y est traité, et peut être mis en cache, mis en file d’attente ou copié avant que quoi que ce soit ne revienne. Au regard du RGPD, cette entreprise devient un sous-traitant agissant pour votre compte, et vous, la clinique ou le praticien, restez le responsable du traitement chargé des données.

Le responsable du traitement assume de vraies obligations dès qu’un sous-traitant entre en jeu. Vous avez besoin d’un contrat écrit avec cette entreprise précisant ce qu’elle peut faire des données et quand elle les supprime. Pour des données de santé de catégorie particulière, vous devez aussi être sûr que l’ensemble du dispositif offre les bonnes garanties. Un outil gratuit trouvé via une recherche ne vous donne presque jamais rien de tout cela. Vous n’avez pas de contrat avec eux, vous ne savez pas où se trouvent leurs serveurs, et vous ne pouvez pas dire qui d’autre pourrait toucher le fichier.

Il y a aussi un point encore plus délicat pour les données de santé. Si le serveur se situe hors de l’UE, vous avez réalisé un transfert international de données de catégorie particulière, le genre de chose que le RGPD entoure du plus de précautions. Pour une photo de vacances, cela n’aurait pas d’importance. Pour le compte rendu d’oncologie d’un patient, vous avez discrètement créé un problème que vous ne pouvez pas documenter.

La violation que vous devriez notifier

Les dossiers médicaux sont exactement ce que recherchent les attaquants et les courtiers en données. Un antécédent médical qui fuite ne peut pas être réinitialisé comme un mot de passe. Si des données sensibles de patient finissent exposées via un service dont vous ne pouviez pas répondre, cela peut constituer une violation de données personnelles, et les violations impliquant des données de santé sont celles que les régulateurs prennent le plus au sérieux. Obligations de notification, information des patients et atteinte à la réputation de la clinique découlent toutes d’un seul téléversement négligent.

Le plus frustrant, c’est que la tâche elle-même, fusionner ou compresser deux fichiers, n’a jamais eu besoin de quitter le cabinet.

Garder le fichier sur sa propre machine

Voici la solution, et elle est plus légère que le problème. Si le PDF ne quitte jamais votre appareil, aucun sous-traitant extérieur n’y touche. Pas de contrat à courir après, pas de transfert à justifier, pas de tiers qui pourrait le faire fuiter. Vous restez le responsable du traitement et vous devez toujours au patient le soin habituel, mais toute une couche de risque cesse simplement d’exister, parce que les données sont restées là où elles étaient.

C’est l’idée derrière les outils qui s’exécutent entièrement dans votre navigateur. Le code fait le travail localement, dans la mémoire de votre ordinateur, et le fichier reste en place. C’est ainsi que nous avons conçu reader.me. Quand vous fusionnez, divisez ou compressez un PDF clinique, il est traité dans votre navigateur et n’atteint jamais l’un de nos serveurs. Si vous voulez une preuve, ouvrez les DevTools de votre navigateur, surveillez l’onglet Réseau pendant que vous travaillez, et vous ne verrez rien sortir avec votre document.

Deux tâches du quotidien comptent le plus pour les fichiers de santé :

• Quand un dossier arrive avec un mot de passe que vous connaissez, vous pouvez déverrouiller le PDF localement pour faciliter le travail sur le fichier, sans l’envoyer où que ce soit.
• Quand vous devez transmettre un dossier et voulez d’abord le verrouiller, vous pouvez protéger le PDF par mot de passe directement sur votre machine, puis le partager via un canal auquel le patient s’attend.

Des habitudes pour les cliniques, les médecins et les patients

Quelques règles simples gardent les PDF de santé hors de danger :

• Traitez chaque document clinique comme une donnée de catégorie particulière. Comptes rendus de sortie, résultats de laboratoire, ordonnances, lettres d’adressage et formulaires de consentement entrent tous dans le lot, même une seule page scannée.
• Ne glissez jamais un dossier patient dans un outil en ligne pris au hasard. Pas de contrat et pas d’emplacement de serveur clair signifie qu’il n’obtient pas les données de vos patients, point final.
• Privilégiez par défaut les outils qui s’exécutent dans votre navigateur pour les tâches courantes comme fusionner, diviser ou compresser. Si ça marche en local, il n’y a pas de sous-traitant à évaluer et rien ne franchit de frontière.
• Verrouillez les fichiers avant de les envoyer. Un mot de passe sur le PDF et un canal de transmission raisonnable valent mieux qu’une pièce jointe ouverte.
• Si vous êtes le patient, demandez comment votre clinique gère vos fichiers. Vous en avez le droit.

Les règles autour des données de santé paraissent lourdes, et elles le sont, parce que les données le sont. Mais la solution quotidienne est petite. Gardez le fichier sur votre machine, utilisez des outils qui ne téléversent pas, et la partie la plus lourde du problème ne vous atteint jamais. Si vous voulez la version longue de la manière dont le téléversement déclenche ces obligations, j’ai écrit séparément sur le RGPD et le téléversement de PDF.